RTS и ITS по DORA: техническите стандарти към регламента

RTS и ITS: каква е разликата

Регламент (ЕС) 2022/2554 (DORA) задава принципите. Оперативните детайли се съдържат в два вида актове, изготвени от Европейските надзорни органи (ЕНО), тоест ЕБО (EBA), ЕОЦКП (ESMA) и ЕОЗППО (EIOPA), в рамките на Съвместния комитет.

• Регулаторни технически стандарти (RTS): определят съдържанието и методите на задължението, тоест какво трябва да е налице. Приемат се от Европейската комисия като делегирани регламенти.
• Технически стандарти за изпълнение (ITS): определят единни образци, формати и процедури. Приемат се като регламенти за изпълнение.

И двата вида са регламенти на Съюза и се прилагат пряко във всички държави членки, без национално транспониране. Мандатът за всеки от тях е записан в самия текст на DORA, например член 15 за рамката за управление на риска в областта на ИКТ. За общия контекст вижте какво е DORA.

RTS за рамката за управление на риска в областта на ИКТ (2024/1774)

Делегиран регламент (ЕС) 2024/1774 доразвива член 15, както и опростената рамка по член 16, параграф 3. Прилага се заедно с DORA от 17 януари 2025 г. Това е най-обемният стандарт и покрива:

• политиките за сигурност на информацията, управлението на активите на ИКТ и правата за достъп, включително многофакторно удостоверяване при привилегирован достъп;
• криптографията и управлението на ключовете;
• сигурността на мрежите, управлението на промените и на уязвимостите;
• откриването на необичайни дейности и реакцията при инциденти с ИКТ;
• политиката за непрекъснатост на дейността на ИКТ, плановете за реакция и възстановяване и кризисната комуникация.

За микропредприятията и другите субекти по член 16 опростената рамка намалява обема на документацията, но запазва отговорността на ръководния орган, управлението на инцидентите и правилата за третите страни доставчици.

Класифициране и докладване на съществените инциденти

Двата акта действат заедно. Делегиран регламент (ЕС) 2024/1772 (член 18, параграф 3) определя критериите и праговете, по които един инцидент с ИКТ се квалифицира като съществен, както и критериите за значителна киберзаплаха: засегнати клиенти и контрагенти, продължителност и прекъсване на услугата, географски обхват, загуба на данни, критичност на засегнатите услуги и икономическо въздействие.

Делегиран регламент (ЕС) 2025/301 и Регламент за изпълнение (ЕС) 2025/302, публикувани в Официален вестник на 20 февруари 2025 г., определят съдържанието, сроковете и образците по член 20:

• първоначално уведомление: до 4 часа след класифицирането на инцидента като съществен и не по-късно от 24 часа от узнаването;
• междинен доклад: до 72 часа от първоначалното уведомление;
• окончателен доклад: до един месец, с анализ на първопричините.

Практическите стъпки са описани в страницата за докладване на инциденти.

Трети страни доставчици: политика, регистър, подизпълнители

Три акта покриват веригата по членове 28 до 30:

• Делегиран регламент (ЕС) 2024/1773 (член 28, параграф 10): какво съдържа политиката за използване на услуги в областта на ИКТ, които поддържат критични или важни функции, и кой я одобрява.
• Регламент за изпълнение (ЕС) 2024/2956 (член 28, параграф 9): образците на информационния регистър, 15 взаимосвързани образеца във формат xBRL-CSV с контролирани речници (идентификатори LEI, кодове по ISO за държава и валута).
• Делегиран регламент (ЕС) 2025/532 (член 30, параграф 5), в сила от 22 юли 2025 г.: какво оценява финансовият субект, преди да допусне възлагане на подизпълнители по услуга, поддържаща критична или важна функция, включително видимост по веригата, местоположение на данните и право на възражение.

Статусът на функцията решава почти всичко: щом тя е критична или важна, задълженията се задействат. Вижте и риска, пораждан от трети страни.

Тестване за проникване (TLPT) и надзор над критичните доставчици

Делегиран регламент (ЕС) 2025/1190 (член 26, параграф 11), в сила от 8 юли 2025 г., урежда тестването за проникване (TLPT) в съответствие с рамката TIBER-EU: обхват, разузнавателни сведения за заплахите, фази на теста, изисквания към вътрешните и външните тестери и докладване на компетентния орган. Тестът обхваща критичните или важните функции и се провежда най-малко веднъж на три години от субектите, определени от компетентния орган. Подробностите са на страницата за TLPT.

Отделна група актове изгражда надзорната рамка над третите страни критични доставчици на услуги в областта на ИКТ (CTPP): критериите за определяне (2024/1502), условията за надзорните дейности на водещия надзорник (2025/295), съвместните екипи за проверки (2025/420) и надзорните такси (2024/1505).

Каталог: мандат, акт, статус

Изгответе информационния регистър →

Често задавани въпроси

Тази страница е професионална помощ, а не правен съвет. · Версия на английски